尧图网页设计 
简介面向网络管理员、安全运维人员及防火墙初学者的官方配置手册整理版聚焦天融信NGFW4000设备的日常管理与命令行操作。内容涵盖串口、TELNET、SSH、WEB、GUI五种管理方式的启用与适用场景并按系统管理、接口配置、安全策略等模块列出常用命令对应的WEBUI操作位置便于在命令行与图形界面之间对照学习。资源为1个pdf文件整体约643KB章节围绕“防火墙管理方式—命令行常用配置—系统信息查看”展开目录层级清晰适合在部署调试时快速查阅。已有2442人学习下载对正在使用或计划运维天融信NGFW4000设备的人员具有较高参考价值。1. 天融信防火墙 NGFW4000 配置手册串口开局、命令行落户、Web 收尾第一次被拉到现场做防火墙开局替换手头只有一份 NGFW4000 的配置手册。用过天融信设备的人都有个共同感受命令行能把整台设备配完Web 界面反而是后来补上的管理入口和新派防火墙把 Web 当主战场的逻辑是反过来的。这份手册解决的就是这种「旧式开局」——先串口进 CLI把接口、区域、管理权限落到位再切到 Web 调策略。整本目录看下来是一条完整的落地顺序先决定透明模式还是路由模式再选管理方式接着配接口路由、定义对象、写访问策略最后搭双机热备。适合读它的人有三类集成商里刚接防火墙项目的实施工程师政企网管要对存量 NGFW4000 做「人换设备不换」的交接以及做设备替换时需要复刻旧策略的过渡项目。这份材料能把这三类场景一次性覆盖住。2. 管理方式四条路串口是门禁Telnet/SSH 是钥匙Web 是日常操作面新设备刚拆箱时面板上没有配置过管理 IP二层三层都摸不到它唯一能进去的就是 CONSOLE 串口。手册把管理方式拆成串口、TELNET、SSH、WEB、GUI 五类其中串口是门禁Telnet 和 SSH 是远程命令行通道Web 和 GUI 是图形操作面。实施时最稳妥的路径是先用串口把底子打完再决定开哪条远程通道。2.1 串口管理连线参数和默认账号密码第一次使用网络卫士防火墙管理员只能通过 CONSOLE 口以命令行方式进行配置。串口连接的操作不复杂但参数错一个字符就黑屏。完整步骤如下1使用随设备附带的串口线把计算机的串口这里以 COM1 为例和防火墙的 CONSOLE 口连起来。2在 Windows 中打开「开始 程序 附件 通讯 超级终端」系统会提示输入新建连接的名称起个名字方便识别就行例如 TOPSEC。3点击「确定」后选择通信接口 COM1。4设置 COM1 的属性参数按下表配置参数名称取值每秒位数9600数据位8奇偶校验无停止位15连接成功后超级终端界面出现用户名/密码输入提示。系统默认用户名是superman密码是talent登录后即进入命令行管理界面。这几个参数基本是所有网络设备串口的通用配置老一代防火墙、交换机、路由器都吃这套 9600 8 N 1。个别新设备会用到 115200开局前先看设备面板或铭牌标注别上来就按默认走。登录后不要急着动业务配置先敲version和information看一遍确认固件版本和设备当前状态再往下走。2.2 Telnet 与 SSH 管理两条前置命令缺一不可Telnet 和 SSH 都是命令行远程管理方式差别只在 SSH 是加密的Telnet 是明文。想用 Telnet 或者 SSH 管设备光配好管理 IP 没用服务不启动、管理权限不放行端口永远是关闭的。手册里给了明确的顺序先加管理权限再启动服务最后配管理 IP。# 放行 Telnet 管理通道area 参数指定管理流量从哪个区域进来 # addressname any 表示允许任何源地址发起管理连接上线前要收紧 pf service add name telnet area area_eth0 addressname any # 启动 Telnet 管理服务 system telnetd start提示排错时先分清层级。管理 IP 能 ping 通但 Telnet 连不上多半是服务没启动管理 IP ping 不通先查接口 IP 和区域绑定。SSH 的管理步骤和 Telnet 基本一样只是服务名换成 sshd管理权限从 telnet 换成 ssh。# 放行 SSH 管理通道SSH 传输加密生产环境优先用 SSH pf service add name ssh area area_eth0 addressname any # 启动 SSH 管理服务 system sshd start添加完管理权限和服务后需要给设备配一个管理 IP。下面的命令把 eth0 接口地址设为 192.168.1.250掩码 255.255.255.0# 配置 eth0 的管理 IP这个地址同时是后续 Web 和 GUI 的入口 network interface eth0 ip add 192.168.1.250 mask 255.255.255.0然后就可以在 Windows CMD 里执行telnet 192.168.1.250或者用 putty 等客户端连接 SSH。最后输入用户名密码进入命令行。实际项目实施时Telnet 和 SSH 别两个都开着留一个 SSH 就够。Telnet 是明文协议抓包就能看到账号密码公共网络环境里开着等于给自己挖坑。2.3 Web 与 GUI 管理界面入口和浏览器兼容Web 管理和 GUI 管理是图形化配置的入口。Web 管理使用浏览器访问设备地址GUI 管理则通过专用图形客户端连接日常策略调整和状态监控都在这个界面做。Web 管理同样需要在命令行侧放行 HTTP/HTTPS 服务# 放行 HTTP 管理通道 pf service add name http area area_eth0 addressname any # 启动 HTTP 管理服务 system httpd start配置完成后浏览器打开https://192.168.1.250就能进入 Web 管理页面。这里有个旧设备常见的现象浏览器会提示证书不受信任。老设备出厂默认证书是自签的证书链不完整浏览器直接拦截。处理方式是添加例外或导入证书不要把整个安全级别降下来。GUI 管理在目录里单独列了一章实际使用和管理 IP 是同一个入口只是客户端形态不同。老工程师的习惯是远程配置用 SSH策略调整用 Web导出配置用 GUI。三者的管理服务都能独立开关排查问题时分得越细越快。3. 命令行常用配置从 SYSTEM 到 PF 的调用顺序先对象后策略命令行是 NGFW4000 的完整配置面。手册把命令行常用配置拆成系统管理、网络配置、双机热备、对象定义、包过滤、运行配置显示、配置保存七块。实际开局时执行顺序是固定的先看系统和网络底子再定义对象最后写包过滤策略。顺序反了策略里引用的东西还没建配置无从下手。3.1 SYSTEM 系统管理命令版本、状态、保存、重启SYSTEM 是整个命令行配置的门面。二级命令里最常用的有六个VERSION 看系统版本信息INFORMATION 看当前设备状态TIME 管理系统时钟CONFIG 管理系统配置REBOOT 重启系统SSHD/TELNETD/HTTPD 管理远程服务。开局第一件事就是确认版本。# 查看系统版本判断固件是否满足现场需求 system version # 查看设备当前状态包括 CPU、内存、在线会话数 system information # 保存当前配置对应 Web 工具栏的“保存设定”按钮 system config save # 重启设备一般用于版本升级或异常状态复位 system reboot这几个命令里system config save是最容易被跳过的。命令行下改完配置如果不执行保存配置只存在于内存里一旦断电重启全部还原到上次保存的状态。手册里专门把它对应到管理器工具栏的「保存设定」按钮说明这条动作在两种界面下都有独立入口重要性不言而喻。TIME 系统时钟管理也值得重视。防火墙的日志时间戳、策略生效时间、证书有效期都依赖系统时钟。常见做法是在 Web 界面「系统 系统时间」里校准或者用 NTP 同步。CLI 下输入system time ?能看到本机支持的具体子命令不同固件版本写法略有出入。3.2 NETWORK 网络配置命令与 HA接口 IP 和双机热备的先后顺序网络配置命令负责接口和路由。最常见的动作是给接口配置 IP 地址命令如下# 设置 eth0 接口 IP掩码用全量写法别省略 network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 # 删除接口上误配的 IP network interface eth0 ip del 192.168.1.250参数说明eth0是接口名ip add是添加地址的动作mask后面跟完整的子网掩码。有的固件版本会把del写成delete遇到语法报错时输入network interface eth0 ?查看本机支持的子命令这个习惯能避开版本差异的坑。双机热备命令HA在网络配置之后独立成块。配置 HA 的正确顺序是先确认两台设备硬件型号和固件版本一致再配置心跳接口然后设置主备优先级。命令行下执行顺序大致是先进入 HA 配置模式指定组编号再设置本机角色为主或备最后开启配置同步。不同版本的 HA 子命令差异较大我一般会在串口下敲ha ?确认当前固件的命令集而不是照搬旧文档。3.3 DEFINE 对象与 PF 包过滤先建对象再引策略对象定义和包过滤是命令行配置里最讲究顺序的两个模块。DEFINE 命令负责定义主机、范围、子网、地址组和服务对象PF 命令负责写包过滤策略。策略里引用的对象必须先存在否则策略保存时会报引用错误。# 定义主机对象示例写法实际以串口 ? 帮助为准 define host add name webserver_ip address 192.168.10.10 # 定义服务对象比如自定义业务的 8080 端口 define service add name tcp_8080 protocol tcp port 8080 # 添加包过滤策略放行内网区域访问 webserver 的 8080 端口 # 策略引用对象名不直接写 IP后续改 IP 不用动策略 pf policy add from area_eth0 to area_eth1 src any dst webserver_ip service tcp_8080 action allow说明一下设计逻辑对象名和 IP 解耦是防火墙配置的基本功。IP 地址变了只需要改对象定义策略不用动反过来策略写死了 IP每次变更都得翻多条规则。PF 策略是「区域到区域」的模式from area_eth0 to area_eth1表示流量从内网区域到外网区域这个区域概念在后续 Web 配置里会反复出现。CLI 下写完策略后用show_running查看运行配置确认无误后执行保存这个组合是命令行开局的标准收尾动作。4. Web 界面配置接口、路由、对象、访问策略与高可用性的组装顺序命令行把底子打完策略调整就应该切到 Web 界面做。手册第三章把 Web 界面配置拆成系统管理、网络接口路由、对象配置、访问策略、高可用性五块顺序编排得很清楚先系统后网络先对象后策略最后再碰 HA。按这个顺序在 Web 界面里走一遍设备就能从「能登录」变成「能干活」。4.1 系统与网络基本信息、接口属性、路由配置系统管理在 Web 界面里分布在六个子页面基本信息、运行状态、配置维护、系统服务、开放服务、系统重启。基本信息里能看到版本和序列号运行状态里是 CPU、内存和会话数配置维护是导入导出配置和恢复出厂设置的地方。这里有个操作习惯每次变更前先去「配置维护」导出一份当前配置变更失败了能快速回退这是最后的后悔药。接口属性配置是关键。路由模式下每个接口都要配 IP、掩码和区域透明模式下接口要以二层方式加入桥接不在业务桥上配三层地址。两种模式的接口配置逻辑完全不同开局前必须先定模式。路由配置在「网络 路由」里静态路由的字段通常是目的地址、掩码、下一跳、出接口。路由模式的默认路由一般长这样字段取值目的地址0.0.0.0掩码0.0.0.0下一跳运营商网关地址出接口eth1外网口4.2 对象配置主机、范围、子网、地址组与自定义服务对象配置是 Web 界面里最繁琐也是最有价值的部分。手册列出了七类对象主机对象、范围对象、子网对象、地址组、自定义服务、区域对象、时间对象。其中主机对象单个 IP比如192.168.10.10适合指向服务器。范围对象一段连续 IP适合代表办公网段里的某段地址。子网对象IP 加掩码比如192.168.10.0/24适合代表整个网段。地址组把多个对象归成一个组策略里引用组名减少策略条数。自定义服务系统自带服务库之外的 TCP/UDP 端口或端口段比如应用的 8080 端口。区域对象对应接口的安全区域比如 eth0 属于内网区域 area_eth0。时间对象定义策略生效的时间段比如工作日 9:00-18:00。对象配置的正确做法是先规划命名规则再批量建对象。命名规则建议用「类型_用途_网段」的格式比如host_web_10_10、group_office_192_168。设备运行三五年后策略堆到几百条能看明白的对象命名能省大量排查时间这是给未来的自己留后路。4.3 访问策略与高可用性区域到区域的规则与 HA 参数访问策略是 Web 配置的核心。新建策略时需要依次指定源区域、源地址对象、目的区域、目的地址对象、服务、动作和时间对象。策略生效顺序是从上到下逐条匹配匹配到就停止不再往下查。所以放行规则要写在拒绝规则上面日志里有被拒绝的流量时能顺着规则顺序直接定位。一个实用的策略配置习惯是从外到内逐层梳理先放行外网访问 DMZ 区的 Web 服务再放行内网访问外网的 HTTP/HTTPS/DNS最后写一条默认拒绝兜底。每一类流量对应一条策略源和目的都用对象引用不写裸 IP。这个习惯能避免策略越堆越乱。高可用性配置在「高可用性」菜单里核心参数是优先级和心跳接口。两台设备配成主备关系优先级高的做主设备低的做备用设备心跳接口负责状态同步和会话同步。配置完成后要验证两件事一是备份设备上能看到主设备的运行配置二是拔出主设备的上行线备用设备能在几秒内接管业务。会话同步开关尤其关键没开这个开关切换瞬间所有存量连接都会断后面避坑章节再细说。5. 常见问题与避坑策略不通、配置丢失、管理连不上的五条排查记录这一章把 NGFW4000 在实际项目里最容易翻车的五个场景列出来每条都按「现象 → 原因 → 解决」写清楚。都是血泪经验能省半天到一天的项目调试时间。5.1 策略写了业务不通现象Web 界面上添加了「允许」策略源目的地址和服务都选对了业务仍然不通。原因最常见的是区域归属错误。防火墙策略是区域到区域的规则接口必须在正确的安全区域内。比如内网接口被误划到了 area_eth1 外网区域策略写的是从 area_eth0 到 area_eth1流量进来时根本不在 area_eth0策略匹配不上。第二种常见原因是默认拒绝兜底规则在生效但没有日志输出被误判为策略没保存。解决回到「网络接口 接口属性」确认每个接口归属的区域再检查策略顺序确认放行规则在拒绝规则之前。命令行下可以查看运行配置逐条核对策略内容和顺序。5.2 重启后配置全丢现象现场改了地址、端口、策略一大堆设备断电重启后发现全部回到出厂状态像没配置过一样。原因配置只在内存里没保存到启动配置文件。命令行模式下改完配置不执行system config saveWeb 界面改完不点「保存设定」按钮配置就不会持久化。这个坑在赶工时最容易踩越忙越容易忘。解决所有变更完成后先执行save或点击「保存设定」再通过show_running确认关键配置已写入最后在「配置维护」里导出一份配置文件归档。从那以后我每次改完配置开发习惯是「变更三步曲」——保存、验证、导出。5.3 Telnet/SSH 连不上管理 IP现象管理 IP 能 ping 通但 Telnet 或 SSH 连不上提示连接被拒或超时。原因管理服务没启动或管理权限没放行。只配了network interface eth0 ip add没执行system telnetd start服务端口根本没监听或者只启动了服务没执行pf service add name telnet ...管理流量被策略拦在外面。解决先确认服务状态再检查管理权限。规则顺序是pf service add放行管理通道 →system启动服务 →network interface配置管理 IP。三个条件缺一个都连不上。排查时按这个顺序逐项确认比瞎猜效率高得多。5.4 透明模式接进去二层不通现象按手册配置了透明模式但同一 VLAN 内的终端互相 ping 不通防火墙像是把二层流量掐断了。原因接口在透明模式下没有正确加入桥接或 VLAN。透明模式下防火墙像一段「网线」一样串接在链路中业务流量走二层交换。如果接口上还保留了业务 IP或者该接口没加入正确的 VLAN二层转发就会失效。解决确认做桥的接口不配置业务 IP管理地址单独放在管理 VLAN 接口上检查接口的 VLAN 列表确保业务 VLAN 已放行。透明模式的管理地址要单独规划一个管理 VLAN和业务流量分离这样既不影响二层转发又能远程管理设备。5.5 双机热备切换导致业务闪断现象主设备一断备用设备确实接管了但在切换瞬间所有连接都断了客户端要手动重连。原因会话同步没开启。主设备上的在线会话表没有同步到备用设备切换后新建连接能通过存量连接全部失效。还有一种是两台设备的优先级一样HA 主备关系不稳定时不时出现抢主现象。解决开启会话同步功能把备用设备的优先级明确调低保证主备关系稳定。切换测试要在业务低峰做同时观察备用设备上的会话数是否和主设备基本一致。养成习惯每次做切换演练前先看两台设备的会话同步状态确认同步正常再动手。6. 最后一个技巧把管理通道从 any 收紧到指定管理主机很多项目开局时管理员图省事管理权限一律用addressname any也就是允许任意源地址发起管理连接。设备上线后这个管理通道对全网开放风险全暴露在外。最后一个技巧是把管理权限从 any 收紧到固定管理主机这是每次开局都应该做的收尾动作。先在对象配置里定义一个管理主机对象# 定义管理主机对象IP 为运维网段里的固定管理终端 define host add name ops_host address 192.168.1.100然后把之前放行的管理服务全部指到这个对象上# 管理权限从 any 收紧到指定管理主机Telnet、SSH、HTTP 逐个替换 pf service add name telnet area area_eth0 addressname ops_host pf service add name ssh area area_eth0 addressname ops_host pf service add name http area area_eth0 addressname ops_host参数说明addressname从any换成ops_host后管理通道只接收来自 192.168.1.100 这个管理终端的访问。其他地址发起的 Telnet、SSH、HTTP 管理连接会被直接拒绝。验证方法很简单从管理主机 192.168.1.100 发起连接能正常登录换一台 192.168.1.200 的机器尝试管理连接应当连接失败或超时。验证通过后执行保存并把配置导出归档。不同固件版本对addressname的参数支持有差异老版本要求先定义主机对象再引用新版本可能支持直接写 IP。最稳妥的方法是执行pf service add name telnet ?看参数提示按本机固件支持的写法来。这个动作做完防火墙的管理面和业务面就真正隔离了。从那以后我每接手一台 NGFW4000 开局都强制走一遍固定流程串口进系统 → 查看版本 → 修改出厂密码 → 定义管理主机对象 → 把 Telnet/SSH/HTTP 权限从 any 改成指定主机 → 保存 → 导出配置归档。流程很短但每次都能拦住至少一个安全隐患希望帮到你。本文还有配套的精品资源点击获取 天融信NGFW4000防火墙配置：串口开局、命令行落户、Web收尾实操指南
简介面向网络管理员、安全运维人员及防火墙初学者的官方配置手册整理版聚焦天融信NGFW4000设备的日常管理与命令行操作。内容涵盖串口、TELNET、SSH、WEB、GUI五种管理方式的启用与适用场景并按系统管理、接口配置、安全策略等模块列出常用命令对应的WEBUI操作位置便于在命令行与图形界面之间对照学习。资源为1个pdf文件整体约643KB章节围绕“防火墙管理方式—命令行常用配置—系统信息查看”展开目录层级清晰适合在部署调试时快速查阅。已有2442人学习下载对正在使用或计划运维天融信NGFW4000设备的人员具有较高参考价值。1. 天融信防火墙 NGFW4000 配置手册串口开局、命令行落户、Web 收尾第一次被拉到现场做防火墙开局替换手头只有一份 NGFW4000 的配置手册。用过天融信设备的人都有个共同感受命令行能把整台设备配完Web 界面反而是后来补上的管理入口和新派防火墙把 Web 当主战场的逻辑是反过来的。这份手册解决的就是这种「旧式开局」——先串口进 CLI把接口、区域、管理权限落到位再切到 Web 调策略。整本目录看下来是一条完整的落地顺序先决定透明模式还是路由模式再选管理方式接着配接口路由、定义对象、写访问策略最后搭双机热备。适合读它的人有三类集成商里刚接防火墙项目的实施工程师政企网管要对存量 NGFW4000 做「人换设备不换」的交接以及做设备替换时需要复刻旧策略的过渡项目。这份材料能把这三类场景一次性覆盖住。2. 管理方式四条路串口是门禁Telnet/SSH 是钥匙Web 是日常操作面新设备刚拆箱时面板上没有配置过管理 IP二层三层都摸不到它唯一能进去的就是 CONSOLE 串口。手册把管理方式拆成串口、TELNET、SSH、WEB、GUI 五类其中串口是门禁Telnet 和 SSH 是远程命令行通道Web 和 GUI 是图形操作面。实施时最稳妥的路径是先用串口把底子打完再决定开哪条远程通道。2.1 串口管理连线参数和默认账号密码第一次使用网络卫士防火墙管理员只能通过 CONSOLE 口以命令行方式进行配置。串口连接的操作不复杂但参数错一个字符就黑屏。完整步骤如下1使用随设备附带的串口线把计算机的串口这里以 COM1 为例和防火墙的 CONSOLE 口连起来。2在 Windows 中打开「开始 程序 附件 通讯 超级终端」系统会提示输入新建连接的名称起个名字方便识别就行例如 TOPSEC。3点击「确定」后选择通信接口 COM1。4设置 COM1 的属性参数按下表配置参数名称取值每秒位数9600数据位8奇偶校验无停止位15连接成功后超级终端界面出现用户名/密码输入提示。系统默认用户名是superman密码是talent登录后即进入命令行管理界面。这几个参数基本是所有网络设备串口的通用配置老一代防火墙、交换机、路由器都吃这套 9600 8 N 1。个别新设备会用到 115200开局前先看设备面板或铭牌标注别上来就按默认走。登录后不要急着动业务配置先敲version和information看一遍确认固件版本和设备当前状态再往下走。2.2 Telnet 与 SSH 管理两条前置命令缺一不可Telnet 和 SSH 都是命令行远程管理方式差别只在 SSH 是加密的Telnet 是明文。想用 Telnet 或者 SSH 管设备光配好管理 IP 没用服务不启动、管理权限不放行端口永远是关闭的。手册里给了明确的顺序先加管理权限再启动服务最后配管理 IP。# 放行 Telnet 管理通道area 参数指定管理流量从哪个区域进来 # addressname any 表示允许任何源地址发起管理连接上线前要收紧 pf service add name telnet area area_eth0 addressname any # 启动 Telnet 管理服务 system telnetd start提示排错时先分清层级。管理 IP 能 ping 通但 Telnet 连不上多半是服务没启动管理 IP ping 不通先查接口 IP 和区域绑定。SSH 的管理步骤和 Telnet 基本一样只是服务名换成 sshd管理权限从 telnet 换成 ssh。# 放行 SSH 管理通道SSH 传输加密生产环境优先用 SSH pf service add name ssh area area_eth0 addressname any # 启动 SSH 管理服务 system sshd start添加完管理权限和服务后需要给设备配一个管理 IP。下面的命令把 eth0 接口地址设为 192.168.1.250掩码 255.255.255.0# 配置 eth0 的管理 IP这个地址同时是后续 Web 和 GUI 的入口 network interface eth0 ip add 192.168.1.250 mask 255.255.255.0然后就可以在 Windows CMD 里执行telnet 192.168.1.250或者用 putty 等客户端连接 SSH。最后输入用户名密码进入命令行。实际项目实施时Telnet 和 SSH 别两个都开着留一个 SSH 就够。Telnet 是明文协议抓包就能看到账号密码公共网络环境里开着等于给自己挖坑。2.3 Web 与 GUI 管理界面入口和浏览器兼容Web 管理和 GUI 管理是图形化配置的入口。Web 管理使用浏览器访问设备地址GUI 管理则通过专用图形客户端连接日常策略调整和状态监控都在这个界面做。Web 管理同样需要在命令行侧放行 HTTP/HTTPS 服务# 放行 HTTP 管理通道 pf service add name http area area_eth0 addressname any # 启动 HTTP 管理服务 system httpd start配置完成后浏览器打开https://192.168.1.250就能进入 Web 管理页面。这里有个旧设备常见的现象浏览器会提示证书不受信任。老设备出厂默认证书是自签的证书链不完整浏览器直接拦截。处理方式是添加例外或导入证书不要把整个安全级别降下来。GUI 管理在目录里单独列了一章实际使用和管理 IP 是同一个入口只是客户端形态不同。老工程师的习惯是远程配置用 SSH策略调整用 Web导出配置用 GUI。三者的管理服务都能独立开关排查问题时分得越细越快。3. 命令行常用配置从 SYSTEM 到 PF 的调用顺序先对象后策略命令行是 NGFW4000 的完整配置面。手册把命令行常用配置拆成系统管理、网络配置、双机热备、对象定义、包过滤、运行配置显示、配置保存七块。实际开局时执行顺序是固定的先看系统和网络底子再定义对象最后写包过滤策略。顺序反了策略里引用的东西还没建配置无从下手。3.1 SYSTEM 系统管理命令版本、状态、保存、重启SYSTEM 是整个命令行配置的门面。二级命令里最常用的有六个VERSION 看系统版本信息INFORMATION 看当前设备状态TIME 管理系统时钟CONFIG 管理系统配置REBOOT 重启系统SSHD/TELNETD/HTTPD 管理远程服务。开局第一件事就是确认版本。# 查看系统版本判断固件是否满足现场需求 system version # 查看设备当前状态包括 CPU、内存、在线会话数 system information # 保存当前配置对应 Web 工具栏的“保存设定”按钮 system config save # 重启设备一般用于版本升级或异常状态复位 system reboot这几个命令里system config save是最容易被跳过的。命令行下改完配置如果不执行保存配置只存在于内存里一旦断电重启全部还原到上次保存的状态。手册里专门把它对应到管理器工具栏的「保存设定」按钮说明这条动作在两种界面下都有独立入口重要性不言而喻。TIME 系统时钟管理也值得重视。防火墙的日志时间戳、策略生效时间、证书有效期都依赖系统时钟。常见做法是在 Web 界面「系统 系统时间」里校准或者用 NTP 同步。CLI 下输入system time ?能看到本机支持的具体子命令不同固件版本写法略有出入。3.2 NETWORK 网络配置命令与 HA接口 IP 和双机热备的先后顺序网络配置命令负责接口和路由。最常见的动作是给接口配置 IP 地址命令如下# 设置 eth0 接口 IP掩码用全量写法别省略 network interface eth0 ip add 192.168.1.250 mask 255.255.255.0 # 删除接口上误配的 IP network interface eth0 ip del 192.168.1.250参数说明eth0是接口名ip add是添加地址的动作mask后面跟完整的子网掩码。有的固件版本会把del写成delete遇到语法报错时输入network interface eth0 ?查看本机支持的子命令这个习惯能避开版本差异的坑。双机热备命令HA在网络配置之后独立成块。配置 HA 的正确顺序是先确认两台设备硬件型号和固件版本一致再配置心跳接口然后设置主备优先级。命令行下执行顺序大致是先进入 HA 配置模式指定组编号再设置本机角色为主或备最后开启配置同步。不同版本的 HA 子命令差异较大我一般会在串口下敲ha ?确认当前固件的命令集而不是照搬旧文档。3.3 DEFINE 对象与 PF 包过滤先建对象再引策略对象定义和包过滤是命令行配置里最讲究顺序的两个模块。DEFINE 命令负责定义主机、范围、子网、地址组和服务对象PF 命令负责写包过滤策略。策略里引用的对象必须先存在否则策略保存时会报引用错误。# 定义主机对象示例写法实际以串口 ? 帮助为准 define host add name webserver_ip address 192.168.10.10 # 定义服务对象比如自定义业务的 8080 端口 define service add name tcp_8080 protocol tcp port 8080 # 添加包过滤策略放行内网区域访问 webserver 的 8080 端口 # 策略引用对象名不直接写 IP后续改 IP 不用动策略 pf policy add from area_eth0 to area_eth1 src any dst webserver_ip service tcp_8080 action allow说明一下设计逻辑对象名和 IP 解耦是防火墙配置的基本功。IP 地址变了只需要改对象定义策略不用动反过来策略写死了 IP每次变更都得翻多条规则。PF 策略是「区域到区域」的模式from area_eth0 to area_eth1表示流量从内网区域到外网区域这个区域概念在后续 Web 配置里会反复出现。CLI 下写完策略后用show_running查看运行配置确认无误后执行保存这个组合是命令行开局的标准收尾动作。4. Web 界面配置接口、路由、对象、访问策略与高可用性的组装顺序命令行把底子打完策略调整就应该切到 Web 界面做。手册第三章把 Web 界面配置拆成系统管理、网络接口路由、对象配置、访问策略、高可用性五块顺序编排得很清楚先系统后网络先对象后策略最后再碰 HA。按这个顺序在 Web 界面里走一遍设备就能从「能登录」变成「能干活」。4.1 系统与网络基本信息、接口属性、路由配置系统管理在 Web 界面里分布在六个子页面基本信息、运行状态、配置维护、系统服务、开放服务、系统重启。基本信息里能看到版本和序列号运行状态里是 CPU、内存和会话数配置维护是导入导出配置和恢复出厂设置的地方。这里有个操作习惯每次变更前先去「配置维护」导出一份当前配置变更失败了能快速回退这是最后的后悔药。接口属性配置是关键。路由模式下每个接口都要配 IP、掩码和区域透明模式下接口要以二层方式加入桥接不在业务桥上配三层地址。两种模式的接口配置逻辑完全不同开局前必须先定模式。路由配置在「网络 路由」里静态路由的字段通常是目的地址、掩码、下一跳、出接口。路由模式的默认路由一般长这样字段取值目的地址0.0.0.0掩码0.0.0.0下一跳运营商网关地址出接口eth1外网口4.2 对象配置主机、范围、子网、地址组与自定义服务对象配置是 Web 界面里最繁琐也是最有价值的部分。手册列出了七类对象主机对象、范围对象、子网对象、地址组、自定义服务、区域对象、时间对象。其中主机对象单个 IP比如192.168.10.10适合指向服务器。范围对象一段连续 IP适合代表办公网段里的某段地址。子网对象IP 加掩码比如192.168.10.0/24适合代表整个网段。地址组把多个对象归成一个组策略里引用组名减少策略条数。自定义服务系统自带服务库之外的 TCP/UDP 端口或端口段比如应用的 8080 端口。区域对象对应接口的安全区域比如 eth0 属于内网区域 area_eth0。时间对象定义策略生效的时间段比如工作日 9:00-18:00。对象配置的正确做法是先规划命名规则再批量建对象。命名规则建议用「类型_用途_网段」的格式比如host_web_10_10、group_office_192_168。设备运行三五年后策略堆到几百条能看明白的对象命名能省大量排查时间这是给未来的自己留后路。4.3 访问策略与高可用性区域到区域的规则与 HA 参数访问策略是 Web 配置的核心。新建策略时需要依次指定源区域、源地址对象、目的区域、目的地址对象、服务、动作和时间对象。策略生效顺序是从上到下逐条匹配匹配到就停止不再往下查。所以放行规则要写在拒绝规则上面日志里有被拒绝的流量时能顺着规则顺序直接定位。一个实用的策略配置习惯是从外到内逐层梳理先放行外网访问 DMZ 区的 Web 服务再放行内网访问外网的 HTTP/HTTPS/DNS最后写一条默认拒绝兜底。每一类流量对应一条策略源和目的都用对象引用不写裸 IP。这个习惯能避免策略越堆越乱。高可用性配置在「高可用性」菜单里核心参数是优先级和心跳接口。两台设备配成主备关系优先级高的做主设备低的做备用设备心跳接口负责状态同步和会话同步。配置完成后要验证两件事一是备份设备上能看到主设备的运行配置二是拔出主设备的上行线备用设备能在几秒内接管业务。会话同步开关尤其关键没开这个开关切换瞬间所有存量连接都会断后面避坑章节再细说。5. 常见问题与避坑策略不通、配置丢失、管理连不上的五条排查记录这一章把 NGFW4000 在实际项目里最容易翻车的五个场景列出来每条都按「现象 → 原因 → 解决」写清楚。都是血泪经验能省半天到一天的项目调试时间。5.1 策略写了业务不通现象Web 界面上添加了「允许」策略源目的地址和服务都选对了业务仍然不通。原因最常见的是区域归属错误。防火墙策略是区域到区域的规则接口必须在正确的安全区域内。比如内网接口被误划到了 area_eth1 外网区域策略写的是从 area_eth0 到 area_eth1流量进来时根本不在 area_eth0策略匹配不上。第二种常见原因是默认拒绝兜底规则在生效但没有日志输出被误判为策略没保存。解决回到「网络接口 接口属性」确认每个接口归属的区域再检查策略顺序确认放行规则在拒绝规则之前。命令行下可以查看运行配置逐条核对策略内容和顺序。5.2 重启后配置全丢现象现场改了地址、端口、策略一大堆设备断电重启后发现全部回到出厂状态像没配置过一样。原因配置只在内存里没保存到启动配置文件。命令行模式下改完配置不执行system config saveWeb 界面改完不点「保存设定」按钮配置就不会持久化。这个坑在赶工时最容易踩越忙越容易忘。解决所有变更完成后先执行save或点击「保存设定」再通过show_running确认关键配置已写入最后在「配置维护」里导出一份配置文件归档。从那以后我每次改完配置开发习惯是「变更三步曲」——保存、验证、导出。5.3 Telnet/SSH 连不上管理 IP现象管理 IP 能 ping 通但 Telnet 或 SSH 连不上提示连接被拒或超时。原因管理服务没启动或管理权限没放行。只配了network interface eth0 ip add没执行system telnetd start服务端口根本没监听或者只启动了服务没执行pf service add name telnet ...管理流量被策略拦在外面。解决先确认服务状态再检查管理权限。规则顺序是pf service add放行管理通道 →system启动服务 →network interface配置管理 IP。三个条件缺一个都连不上。排查时按这个顺序逐项确认比瞎猜效率高得多。5.4 透明模式接进去二层不通现象按手册配置了透明模式但同一 VLAN 内的终端互相 ping 不通防火墙像是把二层流量掐断了。原因接口在透明模式下没有正确加入桥接或 VLAN。透明模式下防火墙像一段「网线」一样串接在链路中业务流量走二层交换。如果接口上还保留了业务 IP或者该接口没加入正确的 VLAN二层转发就会失效。解决确认做桥的接口不配置业务 IP管理地址单独放在管理 VLAN 接口上检查接口的 VLAN 列表确保业务 VLAN 已放行。透明模式的管理地址要单独规划一个管理 VLAN和业务流量分离这样既不影响二层转发又能远程管理设备。5.5 双机热备切换导致业务闪断现象主设备一断备用设备确实接管了但在切换瞬间所有连接都断了客户端要手动重连。原因会话同步没开启。主设备上的在线会话表没有同步到备用设备切换后新建连接能通过存量连接全部失效。还有一种是两台设备的优先级一样HA 主备关系不稳定时不时出现抢主现象。解决开启会话同步功能把备用设备的优先级明确调低保证主备关系稳定。切换测试要在业务低峰做同时观察备用设备上的会话数是否和主设备基本一致。养成习惯每次做切换演练前先看两台设备的会话同步状态确认同步正常再动手。6. 最后一个技巧把管理通道从 any 收紧到指定管理主机很多项目开局时管理员图省事管理权限一律用addressname any也就是允许任意源地址发起管理连接。设备上线后这个管理通道对全网开放风险全暴露在外。最后一个技巧是把管理权限从 any 收紧到固定管理主机这是每次开局都应该做的收尾动作。先在对象配置里定义一个管理主机对象# 定义管理主机对象IP 为运维网段里的固定管理终端 define host add name ops_host address 192.168.1.100然后把之前放行的管理服务全部指到这个对象上# 管理权限从 any 收紧到指定管理主机Telnet、SSH、HTTP 逐个替换 pf service add name telnet area area_eth0 addressname ops_host pf service add name ssh area area_eth0 addressname ops_host pf service add name http area area_eth0 addressname ops_host参数说明addressname从any换成ops_host后管理通道只接收来自 192.168.1.100 这个管理终端的访问。其他地址发起的 Telnet、SSH、HTTP 管理连接会被直接拒绝。验证方法很简单从管理主机 192.168.1.100 发起连接能正常登录换一台 192.168.1.200 的机器尝试管理连接应当连接失败或超时。验证通过后执行保存并把配置导出归档。不同固件版本对addressname的参数支持有差异老版本要求先定义主机对象再引用新版本可能支持直接写 IP。最稳妥的方法是执行pf service add name telnet ?看参数提示按本机固件支持的写法来。这个动作做完防火墙的管理面和业务面就真正隔离了。从那以后我每接手一台 NGFW4000 开局都强制走一遍固定流程串口进系统 → 查看版本 → 修改出厂密码 → 定义管理主机对象 → 把 Telnet/SSH/HTTP 权限从 any 改成指定主机 → 保存 → 导出配置归档。流程很短但每次都能拦住至少一个安全隐患希望帮到你。本文还有配套的精品资源点击获取